🇰🇷 한글 설명
Firebase Authentication WordPress 플러그인 1.7.1 미만 버전에서 인증 토큰의 이메일 주소 검증 과정이 누락되는 취약점이 발견되었습니다. 이로 인해 공격자가 인증되지 않은 상태에서도 임의의 이메일 주소를 사용하여 관리자를 포함한 모든 사용자의 계정으로 로그인할 수 있습니다.
💡 쉬운 설명
이메일 인증을 거치지 않고도 다른 사람의 이메일 주소만 알면 해당 사용자로 로그인할 수 있는 보안 결함입니다. 공격자가 관리자 권한을 탈취하여 웹사이트를 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
The Firebase Authentication WordPress plugin before 1.7.1 does not require the email address in an authentication token to be verified before matching it to a WordPress account and issuing a session, allowing unauthenticated attackers to log in as any user, including administrators.
📍 영향받는 시스템
Firebase Authentication WordPress plugin version < 1.7.1
⚔️ 공격 벡터
인증되지 않은 공격자가 검증되지 않은 이메일 토큰을 사용하여 타인 계정으로 세션 탈취
🛡️ 대응 방법
Firebase Authentication WordPress 플러그인을 최신 버전(1.7.1 이상)으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 목록에서 해당 플러그인의 버전을 확인하여 1.7.1 미만인지 체크하십시오.
wp plugin list --status=active | grep -i 'firebase-authentication'